Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OBWallet' = '%APPDATA%\ob\wqvap.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] 'C:\\Users\\user\\AppData\\Roaming\\ob' = '00000000'
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] 'C:\\Users\\user\\AppData\\Roaming\\ob\\wqvap.exe' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei49722\vcruntime140.dll
- %TEMP%\_mei49722\vcruntime140_1.dll
- %TEMP%\_mei49722\_asyncio.pyd
- %TEMP%\_mei49722\_bz2.pyd
- %TEMP%\_mei49722\_cffi_backend.cp313-win_amd64.pyd
- %TEMP%\_mei49722\_ctypes.pyd
- %TEMP%\_mei49722\_decimal.pyd
- %TEMP%\_mei49722\_hashlib.pyd
- %TEMP%\_mei49722\_lzma.pyd
- %TEMP%\_mei49722\_multiprocessing.pyd
- %TEMP%\_mei49722\_overlapped.pyd
- %TEMP%\_mei49722\_queue.pyd
- %TEMP%\_mei49722\_socket.pyd
- %TEMP%\_mei49722\_ssl.pyd
- %TEMP%\_mei49722\_wmi.pyd
- %TEMP%\_mei49722\base_library.zip
- %TEMP%\_mei49722\certifi\cacert.pem
- %TEMP%\_mei49722\charset_normalizer\md.cp313-win_amd64.pyd
- %TEMP%\_mei49722\charset_normalizer\md__mypyc.cp313-win_amd64.pyd
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\installer
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\metadata
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\record
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\wheel
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\licenses\license
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\licenses\license.apache
- %TEMP%\_mei49722\cryptography-46.0.3.dist-info\licenses\license.bsd
- %TEMP%\_mei49722\cryptography\hazmat\bindings\_rust.pyd
- %TEMP%\_mei49722\libcrypto-3.dll
- %TEMP%\_mei49722\libffi-8.dll
- %TEMP%\_mei49722\libssl-3.dll
- %TEMP%\_mei49722\pyexpat.pyd
- %TEMP%\_mei49722\python3.dll
- %TEMP%\_mei49722\python313.dll
- %TEMP%\_mei49722\select.pyd
- %TEMP%\_mei49722\unicodedata.pyd
- %APPDATA%\ob\wal.txt
- %APPDATA%\ob\wqvap.exe
Сетевая активность
Подключается к
- 'pa###bin.com':443
- 'ap#.##legram.org':443
TCP
Другие
- 'pa###bin.com':443
- 'ap#.##legram.org':443
UDP
- DNS ASK pa###bin.com
- DNS ASK ap#.##legram.org
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Set-MpPreference -Force"
